用途：指导在 Skill System Foundry 仓库中创建、修改和审查 GitHub Actions 工作流，统一仓库既有工作流的编写约定。
主要能力与约束：所有 action 必须固定到完整 40 位提交 SHA，并保留标签与版本注释；由 .github/scripts/verify-action-pins.py 强制校验，可用 python .github/scripts/verify-action-pins.py 本地检查。使用 actions/create-github-app-token 时应使用 client-id 输入，app-id 已弃用；自动化身份为 oss-automation-bot（vars.AUTOMATION_CLIENT_ID、secrets.AUTOMATION_PRIVATE_KEY）与 oss-release-bot（vars.RELEASE_CLIENT_ID、secrets.RELEASE_APP_PRIVATE_KEY）。权限遵循最小化，默认 contents: read，优先作业级权限，读分析与写发布分离到不同作业，使用 upload/download artifact 传递数据。密钥用 ${{ secrets.* }}，变量用 ${{ vars.* }}，不得回显密钥；被调用脚本用 ${VAR:?} 校验必需环境变量。
使用方式：新增工作流时创建 .github/workflows/<name>.yaml，定义触发（push、pull_request、release、workflow_dispatch），设置作业级最小权限，固定 SHA 并加版本注释，按需添加 paths 路径过滤与 concurrency 并发控制（cancel-in-progress: true），先在分支测试再合并。修改时评估权限变化，新 action 立即固定 SHA。审查顺序为先查 SHA 固定，再查权限最小化与读写边界、环境变量校验、路径过滤、并发组。
适用场景：仓库内 CI、测试与覆盖率、shellcheck、actionlint、CodeQL、供应链评分卡、发布准备与打标签等工作流维护。
限制：资料仅针对该仓库既有工作流约定，未提供其他仓库的通用替代规则；具体密钥名称以仓库列表为准，缺失事实暂未提供。